[转帖]通过iptables与iproute2协同实现根据应用的策略路由

matrixer

(简洁明了版本 前提 了解多路由表的概念 了解策略路由的概念 熟悉iptables和iproute2工具包)
# P6 F7 e. m/ z) X# U
4 s  N* X; u# x3 r& M假设，网络中有两个外部接口，IP地址分别为eth0 172.16.1.1/24,eth1 10.0.0.1/24,连接内部网络的接口为eth2 192.168.1.1。现在设计这样一个策略，将所有来自内部网络的web服务的数据，走向172.16.1.1这个出口。其他的数据走向10.0.0.1 这个出口。

#接口设置
ifconfig eth0 172.16.1.1 netmask 255.255.255.0
6 D+ E# k2 e7 a& J* h( ^ifconfig eth1 10.0.0.1 netmask 255.255.255.0
8 }7 ^# y6 N; M/ gifconfig eth2 192.168.1.1 netmask 255.255.255.0
echo 1 >/proc/sys/net/ipv4/ip_forward

+ O0 s. t' f5 G! \9 P#将web服务类的数据包打上标示100
! s0 A, i' ?. I' L/ C#这一步，很关键，用于实现策略路由的是iproute2工具包，但是iproute2工具包是无法根据端口来进行匹配的，因此，需要借助iptables来配合
" U8 G9 ~3 L9 R) j% s/ y3 ciptables -t mangle -A PREROUTING -p tcp --dport 80 -j MARK --set-mark 100
! V& e/ w, ^- F
#增加多路由表 假设172.16.1.1 这一出口的网关是172.16.1.254
ip route add 0/0 via 172.16.1.254 table 100

7 c) g& q/ C7 s1 K3 V#设置路由策略 凡是数据包标记位上是100的数据，查询100号路由表
ip rule add fwmark 100 table 100
3 g; i  K! q9 I3 r
% c) l' X' F4 B#NAT 如果需要的话，进行NAT 不需要的话，就直接路由
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
0 r& W5 r! O* B7 o% C* v

- _" T5 D5 t' g4 D7 P8 |+ J0 [这篇帖子主要是说明了把iptables和iproute2协同以后可以做出很多很强的应用。你可以利用iptables强劲的对数据报的识别能力来将不同类型的数据包打上你自己定义的标示，然后利用iproute2的策略路由的功能来对路由进行人为的干预。